Sådan beskytter du kundedata i din cykelwebshop

For at beskytte kundedata i din webshop og dit værksted behøver du ikke en IT-afdeling. Du skal holde dine systemer opdaterede, bruge unikke adgangskoder med totrinsgodkendelse, have skriftlige databehandleraftaler med dine leverandører og sørge for, at alle medarbejdere kan genkende et phishingforsøg. Denne guide tager dig gennem tiltagene i den rækkefølge, du bør handle i, og peger på, hvornår det giver mening at hente ekstern hjælp.

Derfor er det svært at beskytte kundedata i din webshop uden IT-afdeling

Cyberkriminelle sigter ikke kun mod store virksomheder. Mange angreb er automatiserede og leder efter alle, der kører en forældet webshopplugin, bruger den samme adgangskode flere steder eller har en mailkonto uden ekstra beskyttelse. Størrelsen på virksomheden betyder ikke noget for de scripts, der gennemsøger nettet.

Cykelbranchen har nogle særlige svage punkter:

• Mange små systemer, der hænger sammen. En typisk forhandler har webshop, betalingsløsning, bookingsystem til værkstedet, nyhedsbrev, regnskabsprogram og en fælles mailkonto. Hvert system er en mulig indgang, og få har overblik over dem alle.
• Servicehistorik fortæller mere, end man tror. Navn, adresse, telefonnummer, stelnummer, købsdato og en elcykels værdi giver et brugbart billede af en person. Det kan misbruges til målrettede svindelmails, hvor kriminelle skriver, at “din elcykel er klar til afhentning” eller “din faktura er forfalden”.
• Sæsonspidser. Når foråret og værkstedets travleste uger kommer, haster alt. Det er netop dér, man klikker hurtigt på en mail om en forsendelse, en reservedelsfaktura eller en kunde, der “har glemt sit login”.
• Delte logins. Værkstedets tablet, kassen og bookingsystemet bruger ofte samme adgang, så ingen kan se, hvem der har gjort hvad, og en tidligere medarbejder kan stadig have adgang.

Dertil kommer ansvaret. Så snart du gemmer personoplysninger, er du som dataansvarlig omfattet af databeskyttelsesforordningen (GDPR). Datatilsynet forklarer på sin hjemmeside, hvilke krav der gælder, og hvordan et brud på persondatasikkerheden skal håndteres. Kort fortalt skal et brud som udgangspunkt anmeldes til Datatilsynet uden unødig forsinkelse og senest 72 timer efter, du er blevet opmærksom på det, medmindre det er usandsynligt, at bruddet indebærer risiko for de registrerede.

Langt de fleste brud starter ikke med avanceret hacking, men med en medarbejder, der klikker på et link, eller en adgangskode, der er lækket et andet sted. Et struktureret ISO 27001 awareness-forløb kan lære ansatte at genkende phishing og andre forsøg på dataindbrud, så den menneskelige faktor bliver en styrke i stedet for et hul i forsvaret. Vi vender tilbage til medarbejderne senere, men først skal fundamentet på plads.

Trin 1: Få overblik over, hvilke kundedata du har

Du kan ikke beskytte noget, du ikke ved findes. Brug en time på at lave en simpel oversigt, gerne i et regneark:

1. Hvilke data indsamler du? Navn, adresse, e-mail, telefonnummer, ordrehistorik, stelnummer, servicenoter, eventuelt fakturaoplysninger.
2. Hvor ligger de? Webshop, bookingsystem, regnskabsprogram, nyhedsbrevsværktøj, mailkonto, Excel-ark på en computer, papirjournaler på værkstedet.
3. Hvem har adgang? Ejere, medarbejdere, eksterne bogholdere, freelancere, leverandører.
4. Hvor længe gemmer du dem? Bogføringsloven stiller krav til opbevaring af regnskabsmateriale, men der er ingen grund til at gemme gamle servicenoter, tilbudsforespørgsler eller mailinglister, du ikke bruger.

Typisk opdager man, at der ligger flere data end nødvendigt, og at nogle ligger de forkerte steder, fx kundelister i en delt mappe eller eksport af ordrer i overhalede downloadmapper. Det mindste, du kan gøre for at beskytte kundedata i din webshop og dit værksted, er at slette det, du ikke har brug for. Data, der ikke findes, kan ikke lække.

Tænk også over betalingsoplysninger. En moderne webshop bør bruge en betalingsløsning, hvor kortnumre indtastes hos betalingsudbyderen og aldrig lander på din egen server. Tjek, at din løsning fungerer sådan, og gem aldrig kortoplysninger i mails, noter eller regneark.

Trin 2: Lavpraktiske tiltag, der gør en forskel

Disse tiltag kræver ingen teknisk uddannelse. De kræver blot, at nogen tager ansvar og gør det til en fast rutine.

Hold systemer og plugins opdaterede

Forældet software er en af de mest almindelige indgange. Hvis din webshop kører på et system som WooCommerce eller lignende med tilføjelser, skal både kerne, temaer og plugins opdateres. Slå automatiske opdateringer til, hvor det er muligt, og tag backup før større opdateringer. Fjern plugins og apps, du ikke bruger. De sidder stadig og kan have sikkerhedshuller. Det samme gælder computere, tablets og telefoner på værkstedet: Windows, macOS, iOS og Android skal opdateres, og gamle enheder, der ikke længere får sikkerhedsopdateringer, bør ikke bruges til kundedata.

Brug stærke og unikke adgangskoder

• Brug en adgangskodeadministrator, så hver tjeneste har sin egen lange adgangskode, og ingen skal huske dem.
• Genbrug aldrig adgangskoden til webshoppens administration på andre tjenester.
• Skift adgangskode med det samme, hvis en medarbejder stopper, eller hvis du får mistanke om, at en kode er kommet ud.
• Giv alle medarbejdere deres eget login i stedet for ét fælles. Så kan du fjerne adgang for den enkelte og se, hvem der har lavet hvad.

Slå totrinsgodkendelse til overalt

Totrinsgodkendelse (MFA) betyder, at et stjålet password ikke er nok. Slå det som minimum til på mailkonti, webshopadministration, betalingsportal, domæneudbyder, regnskabssystem og bookingsystem. Mailkontoen er særlig vigtig, fordi man kan nulstille adgangskoder til alle andre tjenester via den. Flerfaktorgodkendelse betragtes generelt som et af de mest effektive og grundlæggende sikkerhedstiltag, og offentlige vejledninger til mindre virksomheder er et godt sted at hente flere råd.

Tag backup og test den

Backup beskytter mod ransomware, fejl og nedbrud. Sørg for, at der ligger en kopi uden for den computer eller server, der er i daglig brug, og at du har prøvet at gendanne fra den. En backup, du aldrig har testet, er en antagelse og ikke en sikkerhed.

Giv kun adgang til det nødvendige

Mekanikeren, der booker service, behøver ikke adgang til regnskabet eller til at eksportere hele kundelisten. De fleste webshop- og bookingplatforme har roller med forskellige rettigheder. Brug dem.

Indgå databehandleraftaler med leverandørerne

Når din webshopplatform, dit bookingsystem, din e-mailtjeneste eller din eksterne bogholder behandler kundedata på dine vegne, er de databehandlere. GDPR kræver, at der er en skriftlig databehandleraftale mellem dig og dem. De fleste større leverandører har en standardaftale, du kan acceptere i din kontoopsætning eller finde i deres vilkår. Tjek følgende:

• Har du faktisk indgået aftalen med hver leverandør, og kan du finde den igen?
• Hvor behandles og opbevares data, og bruger leverandøren underdatabehandlere i lande uden for EU/EØS?
• Hvordan og hvor hurtigt får du besked, hvis leverandøren oplever et sikkerhedsbrud?
• Hvad sker der med data, hvis du opsiger samarbejdet?

Datatilsynet har vejledning om databehandlere og skabeloner til databehandleraftaler, som er et godt udgangspunkt, hvis en mindre leverandør ikke har sin egen.

Trin 3: Gør medarbejderne til din første forsvarslinje

Selv de bedste tekniske indstillinger hjælper ikke, hvis en medarbejder afgiver et login på en falsk side. Phishing rammer også cykelbranchen, ofte i forklædning som:

• en mail fra en “grossist” eller “distributør” med en ændret bankkonto på en faktura
• en besked om en pakke, der ikke kan leveres, med et link til at “bekræfte adresse”
• en kunde, der sender en vedhæftet fil med “kvittering” eller “billede af cyklen”
• en mail, der ligner den fra din webshopplatform og beder dig logge ind for at undgå, at kontoen lukkes

Giv dit team nogle få faste regler:

1. Stop op før du klikker. Se på afsenderadressen, ikke kun navnet, og hold musen over linket.
2. Bekræft betalingsændringer telefonisk. Ring til leverandøren på et nummer, du allerede kender, hvis en faktura pludselig har nyt kontonummer.
3. Del aldrig adgangskoder over mail, sms eller chat, heller ikke med “support”.
4. Meld mistænkelige mails med det samme, og straf ikke den, der indrømmer, at vedkommende har klikket. Hurtig melding begrænser skaden.
5. Lås skærmen, når du forlader kassen eller værkstedets computer.

Regler på papir er en start, men de glemmes. Træning, der gentages, og hvor medarbejderne får konkrete eksempler fra deres egen hverdag, sætter sig bedre fast. Det er netop tanken bag et struktureret oplysningsforløb om sikkerhed: at sikkerhed bliver en vane og ikke en engangsøvelse.

Trin 4: Vær klar, hvis det går galt

Ingen sikring er hundrede procent. Det afgørende er, at du ved, hvad du skal gøre, når noget går galt, og at du ikke først finder ud af det midt i krisen. Lav en kort handlingsplan på én side:

• Hvem skal kontaktes først? Navn og telefonnummer til din webshopleverandør, din bank eller betalingsudbyder og eventuelt en IT-hjælper.
• Hvordan afbryder du skaden? Skift adgangskoder, log enheder af, afbryd internetforbindelsen på en inficeret computer.
• Hvem vurderer, om bruddet skal anmeldes? Brud, der indebærer risiko for kunderne, skal anmeldes til Datatilsynet inden for 72 timer. Hvis risikoen for kunderne er høj, skal de også have besked.
• Hvor dokumenterer du, hvad der er sket? Notér tidspunkter, hvad du har set, og hvilke handlinger du har foretaget.

Det er også en god idé at kigge på din forsikring. Nogle erhvervsforsikringer dækker cyberhændelser, andre gør ikke, og dækningen varierer. Spørg dit forsikringsselskab, hvad der konkret er omfattet.

Hvornår giver det mening at få professionel hjælp?

Mange cykelvirksomheder kan komme langt med ovenstående tiltag. Men der er situationer, hvor det betaler sig at få en ekstern specialist til at strukturere arbejdet:

• Du har fået krav fra kunder eller samarbejdspartnere. Hvis du leverer til erhvervskunder, kommuner, leasingselskaber eller større kæder, kan de stille krav til din informationssikkerhed eller spørge efter dokumentation.
• Du vokser. Flere medarbejdere, flere systemer, flere butikker eller en ny webshop betyder, at de uformelle aftaler ikke længere dækker.
• Du mangler overblik. Du ved ikke, hvilke systemer der indeholder hvilke data, hvem der har adgang, eller om dine leverandører lever op til kravene.
• Du har oplevet en hændelse. Et mistænkeligt indbrud, en phishingmail, der lykkedes, eller en lækket konto er et tegn på, at der er brug for mere struktur.
• Du overvejer certificering eller vil bare arbejde efter en anerkendt standard som ISO 27001.

Et naturligt første skridt er en foranalyse (GAP-analyse). Hos Nesp.ONE vurderer en specialist jeres nuværende arbejde med informationssikkerhed op mod kravene i ISO 27001, kortlægger de vigtigste informationsaktiver og risici og afleverer en prioriteret handlingsplan, så I ved, hvad der skaber størst værdi først. Prisen for en foranalyse afhænger af virksomhedens størrelse og behov, og du kan begynde med en uforpligtende samtale med en cybersikkerhedsekspert. For en mindre cykelforretning er det ikke nødvendigvis en certificering, der er målet. Det kan være at få et klart overblik og en plan, du faktisk kan følge.

Spørg i øvrigt altid, hvad rådgivningen konkret indeholder, hvem der udfører den, og om du får en handlingsplan, der passer til en virksomhed af din størrelse, og ikke en rapport skrevet til en stor koncern.

Din tjekliste til at komme i gang

1. Lav en oversigt over kundedata, systemer og adgange.
2. Slet data, du ikke har brug for.
3. Opdater webshop, plugins, computere og mobiler, og fjern det ubrugte.
4. Indfør adgangskodeadministrator og individuelle logins.
5. Slå totrinsgodkendelse til på mail, webshop, betaling og bookingsystem.
6. Tjek, at du har en databehandleraftale med hver leverandør.
7. Test din backup.
8. Træn medarbejderne i at genkende phishing, og gentag det jævnligt.
9. Skriv en kort plan for, hvad du gør ved et brud.
10. Overvej ekstern hjælp, når kravene eller virksomheden vokser.

Ofte stillede spørgsmål

Skal en lille cykelforretning have en databehandleraftale?

Ja, hvis en leverandør behandler personoplysninger på dine vegne, fx din webshopplatform, dit bookingsystem, dit nyhedsbrevsværktøj eller en ekstern bogholder. GDPR kræver en skriftlig aftale, og mange leverandører har en standardaftale, du kan acceptere. Datatilsynet har vejledning og skabeloner.

Må jeg gemme kundernes kortoplysninger i min webshop?

Det bør du ikke. Brug en anerkendt betalingsløsning, hvor kortoplysninger indtastes hos betalingsudbyderen og ikke gemmes hos dig. Gem aldrig kortnumre i mails, noter eller regneark. Hvis du er i tvivl om din løsning, så spørg din betalingsudbyder, hvordan kortdata håndteres.

Hvad gør jeg, hvis jeg har mistanke om et databrud?

Skift straks adgangskoder, afbryd de berørte enheder, kontakt din webshopleverandør, og dokumentér, hvad der er sket. Vurdér derefter, om bruddet indebærer risiko for kundernes rettigheder. Er det tilfældet, skal det anmeldes til Datatilsynet senest 72 timer efter, du blev opmærksom på det. Er du i tvivl, så søg rådgivning hurtigt.

Er det nødvendigt at blive ISO 27001-certificeret som cykelforhandler?

Nej, det er sjældent et lovkrav for en mindre forhandler. Men standarden er et godt rammeværk for systematisk sikkerhedsarbejde, og nogle erhvervskunder stiller krav om det. En foranalyse kan vise, hvor du står, og om certificering overhovedet giver mening for din forretning.